Pour sécuriser ses comptes en ligne, l'Office fédéral de la cybersécurité (OFCS) recommande trois gestes : un mot de passe d'au moins 12 caractères, différent pour chaque service, un gestionnaire de mots de passe et la double authentification partout où elle est proposée. Ces règles valent pour un particulier comme pour une PME suisse, car un seul identifiant volé peut ouvrir plusieurs comptes.
Cette page donne la vue d'ensemble de la protection des accès. Elle complète les mesures de base de la cybersécurité PME et la rubrique consacrée à protéger son entreprise. Elle distingue ce que disent les autorités et les experts de notre propre analyse.
Chiffres clés
- 12 caractères au minimum pour un mot de passe, avec majuscules, minuscules, chiffres et caractères spéciaux, selon l'OFCS.
- 20 caractères au moins pour un mot de passe Wi-Fi, recommande l'OFCS.
- Le vol de mots de passe joue un rôle dans environ un tiers des incidents subis par les PME suisses, selon l'étude « Cybersécurité des PME 2026 ».
- Le 19 octobre 2026, l'OFCS a publié « Cinq étapes pour une authentification sécurisée ».
- Du 17 au 19 octobre 2026, un intrus a utilisé les identifiants d'un utilisateur pour consulter des données du portail MySIHF de la fédération suisse de hockey sur glace.
Qu'est-ce qu'un mot de passe sécurisé ?
Un mot de passe sécurisé est long, imprévisible et propre à un seul service. Sur sa page consacrée à la protection des appareils et des accès, l'OFCS fixe le seuil à 12 caractères. Il demande d'y mêler majuscules, minuscules, chiffres et caractères spéciaux.
La campagne nationale de sensibilisation S-U-P-E-R.ch ajoute une règle simple : éviter les informations personnelles, comme une date de naissance ou le nom d'un proche. Le programme « eBanking – en toute sécurité ! », de la Haute école spécialisée de Lucerne, rappelle le principe : plus un mot de passe est imprévisible, complexe et long, plus il est sûr.
Pourquoi un mot de passe unique par compte ?
Un mot de passe réutilisé transforme une seule fuite en plusieurs intrusions. Dans une publication du 20 avril 2026, l'OFCS explique le mécanisme : après un vol de données, un outil automatisé vérifie si le mot de passe fonctionne sur d'autres plateformes.
Varier un mot de passe ne suffit pas : changer un chiffre ou ajouter un signe crée une suite que les pirates savent reconstruire, selon le même texte.
Le compte de messagerie mérite la plus grande attention. C'est par lui que passent les demandes de réinitialisation des autres services, souligne l'OFCS. Notre analyse : protéger l'adresse e-mail en premier protège indirectement tous les comptes qui y sont rattachés.
Faut-il un gestionnaire de mots de passe ?
Oui, selon l'OFCS, qui le recommande pour tenir un mot de passe par service. Un gestionnaire de mots de passe crée, enregistre et insère des mots de passe complexes. Il évite de mémoriser des dizaines de combinaisons.
Sa limite tient au mot de passe principal. S'il est faible et tombe entre de mauvaises mains, il donne accès à tous les mots de passe enregistrés, prévient l'office. L'OFCS conseille aussi de choisir un gestionnaire qui prend lui-même en charge la double authentification. 2clics ne recommande aucune marque.
Comment fonctionne la double authentification ?
La double authentification, aussi appelée authentification à deux facteurs, ajoute une seconde vérification après le mot de passe. Un intrus qui connaît le mot de passe doit encore franchir cette étape.
La campagne S-U-P-E-R.ch cite plusieurs formes de second facteur : un code reçu par SMS ou généré par une application d'authentification, une notification sur le smartphone, ou une validation biométrique par empreinte digitale ou reconnaissance faciale. Selon cette campagne, même en cas de vol du mot de passe, cette étape empêche presque toute tentative d'accès non autorisé.
Code SMS, application ou clé d'accès : que choisir ?
Le choix dépend du service, car chacun propose ses propres méthodes. Le tableau résume ce que disent les sources officielles de chaque moyen.
| Moyen | Fonctionnement | Ce que disent les sources |
|---|---|---|
| Code par SMS | Un code à usage unique arrive sur le téléphone après le mot de passe | Le réseau mobile sert de canal supplémentaire, ce qui entrave l'interception (eBanking – en toute sécurité !) |
| Application d'authentification | L'application génère un code valable peu de temps | Citée parmi les seconds facteurs recommandés (S-U-P-E-R.ch) |
| Notification sur le smartphone | L'utilisateur confirme la connexion sur son appareil | Citée parmi les seconds facteurs recommandés (S-U-P-E-R.ch) |
| Clé d'accès (passkey) | Une paire de clés cryptographiques, associée à la biométrie | Vise à remplacer le mot de passe (eBanking – en toute sécurité !) |
Pour aller plus loin, le guide « Cinq étapes pour une authentification sécurisée » de l'OFCS compare le mot de passe, la clé d'accès et la carte à puce. Il propose de classer les moyens d'authentification selon la sécurité qu'ils offrent.
La double authentification protège-t-elle de tout ?
Non. Elle ne protège pas contre l'hameçonnage en temps réel, a averti le Centre national pour la cybersécurité (NCSC), dans une revue publiée le 14 février 2023 et toujours en ligne sur le site de l'OFCS.
Le mécanisme décrit est simple. Une fausse page de connexion reçoit le mot de passe. Les escrocs le saisissent aussitôt sur la vraie page, ce qui déclenche l'envoi du code. La victime tape ensuite ce code sur la fausse page, et les pirates s'en servent dans la foulée.
L'exemple, signalé par une commune, visait des comptes Microsoft Office 365 protégés par deux facteurs. La parade reste la même : ne jamais saisir un mot de passe sur une page ouverte par un lien reçu par e-mail ou SMS.
L'OFCS ajoute un réflexe : taper soi-même l'adresse de la banque ou de la messagerie, jamais depuis une recherche Google, où des publicités peuvent mener à une imitation.
Comment savoir si un compte est compromis ?
Le premier signe est souvent tardif : on ne parvient soudain plus à se connecter, constate l'OFCS. D'autres signaux d'alerte apparaissent plus tôt :
- des tentatives de connexion depuis des lieux ou à des heures inhabituels ;
- des paramètres modifiés sans votre intervention ;
- des messages envoyés depuis votre compte que vous n'avez pas écrits ;
- des codes à usage unique reçus sans les avoir demandés, à signaler aussitôt à sa banque selon « eBanking – en toute sécurité ! ».
Les alertes de connexion elles-mêmes peuvent être fausses. Des escrocs en imitent pour pousser à cliquer sur un lien d'hameçonnage, prévient l'OFCS. Il vaut mieux ouvrir le service en tapant son adresse, puis vérifier le compte depuis là. L'office cite aussi l'outil de vérification des fuites de données d'iBarry, qui contrôle les mots de passe liés à une adresse e-mail.
Que faire si un compte est piraté ?
Il faut agir vite et dans l'ordre. L'OFCS détaille ces étapes dans sa page consacrée aux comptes piratés :
- changer immédiatement le mot de passe, si l'accès fonctionne encore ;
- contacter sans attendre le prestataire, s'il s'agit d'une banque ou d'un service financier ;
- sinon, utiliser la réinitialisation, souvent envoyée à une adresse e-mail alternative enregistrée ;
- si cette adresse a aussi été changée, suivre la procédure de récupération du fournisseur, qui demande de confirmer son identité ;
- activer ensuite la double authentification, mettre à jour ses appareils et lancer un antivirus.
Une messagerie piratée demande un contrôle de plus. Les escrocs créent souvent une règle qui leur redirige des e-mails, même après le changement de mot de passe. L'OFCS conseille de la supprimer, de réinitialiser les services liés à cette adresse et de prévenir ses contacts.
En cas de préjudice financier, l'office recommande de déposer plainte auprès de la police cantonale. Les semaines suivantes exigent une vigilance particulière face aux tentatives d'hameçonnage ciblées.
Notre analyse : les moyens de récupération se préparent avant l'incident. Une adresse de secours à jour, et d'éventuels codes de secours gardés hors du téléphone, comme eBanking – en toute sécurité ! le conseille pour les identifiants, évitent de rester bloqué. Pour une entreprise, ces étapes ont leur place dans un plan de réponse aux cyberattaques.
Quelles règles pour sécuriser les comptes d'une PME ?
Une PME a besoin de règles écrites, pas seulement de bonnes habitudes. « eBanking – en toute sécurité ! » propose une politique de mots de passe en quatre temps : lister tous les accès protégés, fixer des règles, contrôler leur respect et sensibiliser les collaborateurs.
Cette politique pose plusieurs principes, selon le programme lucernois :
- un mot de passe reste personnel et ne se partage jamais ;
- il se conserve et se transmet toujours chiffré ;
- l'entreprise fournit un gestionnaire de mots de passe à son personnel ;
- les systèmes empêchent de réactiver d'anciens mots de passe ;
- la double authentification protège la modification du mot de passe.
La campagne S-U-P-E-R.ch ajoute la gestion des droits. Chaque employé ne reçoit que les accès nécessaires à son rôle. Les droits se retirent dès qu'une personne quitte l'entreprise ou change de poste, et se contrôlent régulièrement.
L'OFCS range les mots de passe sûrs et l'authentification à plusieurs facteurs parmi ses mesures organisationnelles. Ces règles comptent davantage quand l'équipe se connecte de l'extérieur, comme le détaille notre page sur le télétravail et la sécurité informatique.
Exemple daté : du 17 au 19 octobre 2026, un intrus s'est connecté au portail MySIHF de la Swiss Ice Hockey Federation avec les identifiants d'un utilisateur. La fédération a découvert le 26 octobre que les données consultées étaient en vente sur un forum. Notre analyse : un seul compte détourné a suffi, ce qui justifie la double authentification sur chaque accès à des données de tiers.
La formation complète le dispositif : S-U-P-E-R.ch suggère des ateliers sur les gestionnaires de mots de passe et la double authentification. Notre page sur la sensibilisation à la cybersécurité détaille les méthodes, et un test cybersécurité PME aide à mesurer son point de départ.
Sources
- Office fédéral de la cybersécurité : protection des appareils, mots de passe et contrôle d'accès
- Office fédéral de la cybersécurité : quand un mot de passe compromet plusieurs comptes (20 avril 2026)
- Office fédéral de la cybersécurité : comptes Office 365 visés par l'hameçonnage en temps réel (14 février 2023)
- Office fédéral de la cybersécurité : premiers réflexes à adopter
- Office fédéral de la cybersécurité : que faire en cas de compte piraté ou de fuite de données ?
- S-U-P-E-R.ch : comment sécuriser vos accès
- eBanking – en toute sécurité ! : une politique de mots de passe efficace pour les PME
- eBanking – en toute sécurité ! : authentification via SMS
- eBanking – en toute sécurité ! : les passkeys (7 août 2024)
